Cloud Composer 3 | Cloud Composer 2 | Cloud Composer 1
本頁面說明如何使用機構政策服務自訂限制，限制下列 Google Cloud 資源的特定作業：
composer.googleapis.com/Environment
如要進一步瞭解機構政策，請參閱「自訂機構政策」。
關於機構政策和限制
Google Cloud 機構政策服務可讓您透過程式以集中方式控管機構資源。身為機構政策管理員，您可以定義機構政策，也就是一組稱為「限制」的限制，適用於 Google Cloud 資源階層中的Google Cloud 資源和這些資源的子系。您可以在機構、資料夾或專案層級強制執行機構政策。
機構政策為各種 Google Cloud 服務提供內建的受管理限制條件。不過，如果您想進一步控管機構政策中受限制的特定欄位，並以更精細的方式進行自訂控管，也可以建立自訂限制，並在機構政策中使用這些自訂限制。
政策繼承
根據預設，機構政策會由您強制執行政策的資源子項繼承。舉例來說，如果您對資料夾套用政策， Google Cloud 就會對資料夾中的所有專案套用該政策。如要進一步瞭解這項行為和如何變更，請參閱「階層評估規則」。
優點
您可以使用自訂機構政策，允許或拒絕 Cloud Composer 資源的特定值。舉例來說，如果建立或更新 Cloud Composer 環境的要求無法符合貴機構政策中設定的自訂約束條件驗證，要求就會失敗，並傳回錯誤給呼叫端。此外，使用自訂機構政策：
提升安全性。舉例來說，您可以定義政策，禁止建立公用 IP 環境、啟用私人使用的公開 IP 位址，或指定特定網路和子網路的用途。
在建立或更新環境時，可精細控管建立或使用的資源。
限制
如同所有機構政策限制，政策變更不會回溯套用至現有執行個體。
- 新政策不會影響現有的執行個體設定。
- 除非您使用Google Cloud 主控台、Google Cloud CLI 或 RPC，將符合規定的值變更為不符合規定的值，否則現有的執行個體設定仍會有效。
在對資源的 UPDATE 方法類型強制套用自訂機構政策前，請確認現有環境符合各項政策。
由於一個更新作業只能更新一個欄位，如果現有環境的多個���位同時違反政策，就可能發生死結。
如要避免發生死結，請採取下列任一做法：
(建議) 請先讓所有現有環境符合政策規定，再對資源強制執行政策。如要確認哪些現有環境在政策生效後會違規，您可以使用政策模擬器。
停用政策的強制執行功能，將現有環境更新為符合規定的狀態，然後重新強制執行政策。
事前準備
- Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Install the Google Cloud CLI.
-
If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.
-
To initialize the gcloud CLI, run the following command:
gcloud init -
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Make sure that billing is enabled for your Google Cloud project.
-
Install the Google Cloud CLI.
-
If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.
-
To initialize the gcloud CLI, run the following command:
gcloud init - 請務必確認您知道自己的機構 ID。
ORGANIZATION_ID：貴機構 ID，例如123456789。CONSTRAINT_NAME：您要為新自訂限制設定的名稱。自訂限制的開頭必須為custom.，且只能包含大寫英文字母、小寫英文字母或數字。例如，custom.restrictEnvironmentSize。這個欄位的長度上限為 70 個半形字元。RESOURCE_NAME：包含您要限制的物件和欄位的Google Cloud 資源完整限定名稱。例如：composer.googleapis.com/Environment。CONDITION：針對支援的服務資源表示法編寫的 CEL 條件。這個欄位的長度上限為 1000 個半形字元。如要進一步瞭解可用於寫入條件的資源，請參閱「支援的資源」。例如：resource.config.environmentSize == "ENVIRONMENT_SIZE_SMALL"。ACTION：如果符合condition，則採取的動作。可能的值為ALLOW和DENY。DISPLAY_NAME：限制的易讀名稱。這個欄位的長度上限為 200 個半形字元。DESCRIPTION：在違反政策時，要以錯誤訊息形式顯示的限制說明。這個欄位的長度上限為 2000 個半形字元。- 在 Google Cloud 控制台中，前往「Organization policies」(機構政策) 頁面。
- 在專案選擇工具中，選取要設定機構政策的專案。
- 在「Organization policies」頁面的清單中選取限制條件，即可查看該限制條件的「Policy details」頁面。
- 如要設定這項資源的機構政策，請按一下「管理政策」。
- 在「Edit policy」頁面中，選取「Override parent's policy」。
- 按一下「新增規則」。
- 在「Enforcement」(強制執行) 部分，選取是否要啟用這項機構政策的強制執行機制。
- 選用：如要讓機構政策依標記而定，請按一下「新增條件」。請注意，如果您在組織政策中新增條件規則，則必須至少新增一項無條件規則，否則無法儲存政策。詳情請參閱「設定含有標記的組織政策」。
- 按一下「測試變更」，模擬機構政策的效果。舊版受管理限制條件無法進行政策模擬。詳情請參閱「 使用 Policy Simulator 測試組織政策變更」。
- 如要完成並套用機構政策，請按一下「設定政策」。這項政策最多需要 15 分鐘才會生效。
-
PROJECT_ID：您要強制執行限制的專案。 -
CONSTRAINT_NAME：您為自訂限制定義的名稱。例如：custom.restrictEnvironmentSize。 - 您的機構 ID
- 您的專案 ID
將下列檔案儲存為
constraint-require-only-small-environments.yaml：name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictEnvironmentSize resourceTypes: - composer.googleapis.com/Environment methodTypes: - CREATE condition: resource.config.environmentSize == "ENVIRONMENT_SIZE_SMALL" actionType: ALLOW displayName: Only allow small Composer environments. description: All environments must be small.套用限制：
gcloud org-policies set-custom-constraint constraint-require-only-small-environments.yaml將下列檔案儲存為
policy-require-only-small-environments.yaml：name: projects/PROJECT_ID/policies/custom.restrictEnvironmentSize spec: rules: - enforce: true套用政策：
gcloud org-policies set-policy policy-require-only-small-environments.yaml
必要的角色
如要取得管理自訂機構政策所需的權限，請要求管理員授予您機構資源的 機構政策管理員 (roles/orgpolicy.policyAdmin) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。
建立自訂限制
自訂限制是在 YAML 檔案中定義，並由您要套用機構政策的服務支援的資源、方法、條件和動作定義。您可以使用一般運算語言 (CEL) 定義自訂限制條件。如要進一步瞭解如何使用 CEL 在自訂限制中建立條件，請參閱「建立及管理自訂限制」一文的 CEL 相關部分。
如要建立自訂限制，請使用下列格式建立 YAML 檔案：
name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes:
- RESOURCE_NAME
methodTypes:
- CREATE
- UPDATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION
更改下列內容：
如要進一步瞭解如何建立自訂限制，請參閱「定義自訂限制」。
設定自訂限制
為新自訂限制建立 YAML 檔案後，您必須設定該檔案，以便在貴機構中使用機構政策。如要設定自訂限制條件，請使用gcloud org-policies set-custom-constraint 指令：gcloud org-policies set-custom-constraint CONSTRAINT_PATH
CONSTRAINT_PATH 替換為自訂限制檔案的完整路徑。例如：/home/user/customconstraint.yaml。完成後，自訂限制會列入 Google Cloud 機構政策清單，成為機構政策。如要確認自訂限制是否存在，請使用 gcloud org-policies list-custom-constraints 指令：gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
ORGANIZATION_ID 替換為機構資源的 ID。詳情請參閱「查看組織政策」。強制執行自訂機構政策
您可以建立參照限制的機構政策，然後將該機構政策套用至 Google Cloud 資源，藉此強制執行限制。控制台
gcloud
如要建立包含布林值規則的機構政策，請建立參照限制的政策 YAML 檔案：
name: projects/PROJECT_ID/policies/CONSTRAINT_NAME spec: rules: - enforce: true
取代下列內容：
如要強制執行包含限制的機構政策，請執行下列指令：
gcloud org-policies set-policy POLICY_PATH
將 POLICY_PATH 替換為機構政策 YAML 檔案的完整路徑。這項政策最多需要 15 分鐘才會生效。
測試自訂機構政策
以下範例會建立自訂限制和政策，只允許小型 Cloud Composer 環境。
開始之前，請先瞭解下列事項：
建立限制
建立政策
套用政策後，請等候約兩分鐘，讓 Google Cloud開始強制執行政策。
測試政策
gcloud composer environments create ENVIRONMENT_NAME \
--location=LOCATION \
--image-version="composer-3-airflow-2.10.5-build.5" \
--environment-size=medium
由於限制規定只能建立小型 Composer 環境，因此無法建立這個環境。
輸出結果會與下列內容相似：
You can't perform this action on a Composer environment due to Custom Organization Policy constraints set on your project. The following constraint(s) were violated: ["customConstraints/custom.restrictEnvironmentSize": All environments must be small.]
如要解決上述錯誤，請建立小型環境。例如：
gcloud composer environments create ENVIRONMENT_NAME \
--location=LOCATION \
--image-version="composer-3-airflow-2.10.5-build.5" \
--environment-size=small
環境建立作業已順利啟動。
常見用途的自訂機構政策範例
下表列出常見用途的部分自訂限制條件語法：
| 說明 | 限制條件語法 |
|---|---|
| 只允許私人 IP Cloud Composer 環境 |
name: organizations/ORGANIZATION_ID/customConstraints/custom.allowOnlyPrivateIp resourceTypes: - composer.googleapis.com/Environment methodTypes: - CREATE condition: resource.config.privateEnvironmentConfig.enablePrivateEnvironment == true actionType: ALLOW displayName: Only Private IP environments description: All environments must use Private IP networking |
| 工作站數量上限不得超過 10 |
name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictMaxWorketCount resourceTypes: - composer.googleapis.com/Environment methodTypes: - CREATE - UPDATE condition: resource.config.workloadsConfig.worker.maxCount <= 10 actionType: ALLOW displayName: Limit the maximum number of workers description: All environments must have 10 or less workers |
Cloud Composer 支援的資源
下表列出可在自訂限制中參照的 Cloud Composer 資源。| 資源 | 欄位 |
|---|---|
| composer.googleapis.com/Environment |
resource.config.environmentSize
|
resource.config.maintenanceWindow.recurrence
| |
resource.config.masterAuthorizedNetworksConfig.enabled
| |
resource.config.nodeConfig.enableIpMasqAgent
| |
resource.config.nodeConfig.network
| |
resource.config.nodeConfig.serviceAccount
| |
resource.config.nodeConfig.subnetwork
| |
resource.config.privateEnvironmentConfig.cloudComposerConnectionSubnetwork
| |
resource.config.privateEnvironmentConfig.enablePrivateBuildsOnly
| |
resource.config.privateEnvironmentConfig.enablePrivateEnvironment
| |
resource.config.privateEnvironmentConfig.enablePrivatelyUsedPublicIps
| |
resource.config.privateEnvironmentConfig.networkingConfig.connectionType
| |
resource.config.privateEnvironmentConfig.privateClusterConfig.enablePrivateEndpoint
| |
resource.config.recoveryConfig.scheduledSnapshotsConfig.enabled
| |
resource.config.recoveryConfig.scheduledSnapshotsConfig.snapshotCreationSchedule
| |
resource.config.recoveryConfig.scheduledSnapshotsConfig.snapshotLocation
| |
resource.config.recoveryConfig.scheduledSnapshotsConfig.timeZone
| |
resource.config.resilienceMode
| |
resource.config.softwareConfig.cloudDataLineageIntegration.enabled
| |
resource.config.softwareConfig.imageVersion
| |
resource.config.softwareConfig.webServerPluginsMode
| |
resource.config.workloadsConfig.dagProcessor.count
| |
resource.config.workloadsConfig.dagProcessor.cpu
| |
resource.config.workloadsConfig.dagProcessor.memoryGb
| |
resource.config.workloadsConfig.dagProcessor.storageGb
| |
resource.config.workloadsConfig.scheduler.count
| |
resource.config.workloadsConfig.scheduler.cpu
| |
resource.config.workloadsConfig.scheduler.memoryGb
| |
resource.config.workloadsConfig.scheduler.storageGb
| |
resource.config.workloadsConfig.triggerer.count
| |
resource.config.workloadsConfig.triggerer.cpu
| |
resource.config.workloadsConfig.triggerer.memoryGb
| |
resource.config.workloadsConfig.webServer.cpu
| |
resource.config.workloadsConfig.webServer.memoryGb
| |
resource.config.workloadsConfig.webServer.storageGb
| |
resource.config.workloadsConfig.worker.cpu
| |
resource.config.workloadsConfig.worker.maxCount
| |
resource.config.workloadsConfig.worker.memoryGb
| |
resource.config.workloadsConfig.worker.minCount
| |
resource.config.workloadsConfig.worker.storageGb
| |
resource.name
|